Seguridad en la autentificacion

Hola a todos,

Mi pregunta es sobre la seguridad al momento de que un usuario se loguee a
un sitio web.
Hasta ahora usaba MD5 para encriptar y pensaba que estaba seguro pero al
analizarlo bien no es asi.
La forma como yo hacia es:

1) Usuario introduce Login y Password
2) Al aceptar, antes de que la pag. haga submit a la pag. de comprobacion

usuario, encripto la contrasena con javascript en el lado del cliente
mediante MD5 y luego recien hace submit. (Esto era para que cualduier
persona que este viendo el flujo de la red solo se tope con una contrasena
encriptada)
3) Luego en la pag. de comprobacion recupero de la BD la contrasena que
tambien fue almacenada en su forma encriptada y realizo la comprobacion.

es igual el usuario es logueado y sino se abre una pag. de error de login

password.

Bueno esto era lo que hacia, pero esto resulto no ser nada seguro. Pues si
uno logra robar la contrasena encriptada, con esto se puede hacer una

aparte que haga submit a la pag. de comprobacion con el login y la
contrasena encriptada (sin necesidad de volver a encriptar nada) y bueno

esto la contrasena va al servidor y es comprobada y acepta como correcta.

No se como poder solucionar esto de la autentificacion.

Gracias de antemano.

Hola a todos,

Mi pregunta es sobre la seguridad al momento de que un usuario se loguee a
un sitio web.
Hasta ahora usaba MD5 para encriptar y pensaba que estaba seguro pero al
analizarlo bien no es asi.
La forma como yo hacia es:

1) Usuario introduce Login y Password
2) Al aceptar, antes de que la pag. haga submit a la pag. de comprobacion

usuario, encripto la contrasena con javascript en el lado del cliente
mediante MD5 y luego recien hace submit. (Esto era para que cualduier
persona que este viendo el flujo de la red solo se tope con una contrasena
encriptada)
3) Luego en la pag. de comprobacion recupero de la BD la contrasena que
tambien fue almacenada en su forma encriptada y realizo la comprobacion.

es igual el usuario es logueado y sino se abre una pag. de error de login

password.

Bueno esto era lo que hacia, pero esto resulto no ser nada seguro. Pues si
uno logra robar la contrasena encriptada, con esto se puede hacer una

aparte que haga submit a la pag. de comprobacion con el login y la
contrasena encriptada (sin necesidad de volver a encriptar nada) y bueno

esto la contrasena va al servidor y es comprobada y acepta como correcta.

No se como poder solucionar esto de la autentificacion.

Gracias de antemano.